Mis à jour le 28 octobre 2026.
Electrum 4.8.3 corrige une vulnérabilité qui peut transformer une hausse des frais Bitcoin en paiement à un attaquant. L’avis publié le 24 octobre concerne les versions antérieures à la 4.8.3 : un serveur malveillant peut manipuler l’historique des transactions non confirmées, puis amener l’utilisateur à signer la mauvaise opération.
La priorité est de mettre le logiciel à jour depuis sa source officielle et de vérifier destinataires et montants avant toute nouvelle signature. Ce problème ne permet pas de conclure que toutes les phrases de récupération Electrum ont été volées ou que Bitcoin accepte des signatures invalides.
Electrum 4.8.3 : quelles installations vérifier
L’avis GHSA-6jp4-8v48-cc5v classe la vulnérabilité comme élevée et désigne la version 4.8.3 comme corrigée. La chronologie distingue le tag logiciel du 23 octobre de la publication des binaires et de l’avis le 24 : il s’agit de plusieurs étapes du même lancement.
Une personne utilisant une ancienne installation doit d’abord vérifier la version réellement exécutée, sans se fier au nom du raccourci sur le bureau. Un ancien exécutable portable et une installation récente peuvent coexister sur le même ordinateur : c’est le programme ouvrant effectivement le portefeuille qui compte.
Ce contrôle évite une fausse assurance. Avoir téléchargé une mise à jour ne prouve ni son installation ni la réouverture du portefeuille avec celle-ci. Vérifier la version du logiciel ne nécessite pas de transmettre le fichier du portefeuille à un tiers.
Pourquoi une transaction en attente peut tromper
Electrum est un client léger. Ses FAQ sur la confiance accordée aux serveurs expliquent que le serveur principal fournit les informations sur les transactions non confirmées et transmet les paiements sortants. Une ligne de l’historique affiché n’équivaut donc pas toujours à une opération déjà vérifiée dans un bloc.
Dans le scénario signalé, le serveur retient le paiement initial et présente au portefeuille une transaction conflictuelle avec une autre destination. Cette première substitution ne possède pas les signatures valides permettant de dépenser les fonds ; l’étape dangereuse est l’autorisation donnée ensuite par l’utilisateur lors de l’augmentation des frais.
La distinction est essentielle : aucune transaction confirmée n’est réécrite sur la blockchain. C’est le contexte dans lequel une personne choisit ce qu’elle signe qui est manipulé, en détournant une fonction normalement destinée à accélérer un paiement lent.
Les contrôles avant de relever les frais
RBF, ou Replace-by-Fee, permet de proposer une transaction de remplacement avec des frais plus élevés. Notre article sur RBF et CPFP pour les paiements bloqués explique leur usage habituel ; cette actualité porte sur une faille particulière du portefeuille, pas sur l’insécurité de tout remplacement.
| Contrôle | Question utile |
|---|---|
| Version | Le programme exécuté est-il à jour, et pas seulement le fichier téléchargé ? |
| Destinataire | L’adresse complète correspond-elle à celle convenue ? |
| Montant | Le paiement et les nouveaux frais sont-ils cohérents ? |
| Monnaie rendue | Les autres sorties sont-elles identifiées et explicables ? |
| Signature | Est-ce bien le paiement que je souhaite autoriser ? |
Comparer seulement les derniers caractères d’une adresse ne suffit pas. Il faut retrouver l’adresse complète dans la demande de paiement initiale, par un canal fiable, et non reprendre une suggestion provenant du même message suspect.
Si la destination a changé ou qu’une sortie reste inexpliquée, interrompre la signature. Augmenter encore les frais ne répare pas un problème qui n’a pas été identifié : une commission supérieure ne rend pas une mauvaise adresse légitime.
Télécharger le correctif sans subir un hameçonnage
Le site officiel Electrum distribue la version actuelle et insiste sur la vérification des signatures. Éviter les installateurs transmis par message privé, les publicités sponsorisées et les fenêtres imposant une récupération urgente du portefeuille.
La procédure officielle GPG sert à authentifier le fichier téléchargé. Elle ne correspond pas à la signature d’une transaction Bitcoin : la première opération vérifie le logiciel, tandis que la seconde autorise une dépense.
Ne jamais saisir sa phrase de récupération sur un site prétendant vérifier si le portefeuille est vulnérable. Notre explication de la protection de la seed phrase rappelle pourquoi une assistance ne doit pas la recevoir. Une telle demande ajoute un risque distinct de la mise à jour du programme.
Ce que change le correctif, et que faire après une signature
Le rôle du serveur reste important après la mise à jour. L’avis exclut ce scénario pour les clients utilisant un serveur réellement digne de confiance, par exemple leur propre serveur, mais choisir une autre adresse publique ne suffit pas à en établir la fiabilité.
Il ne faut donc pas se contenter de changer de serveur en gardant l’ancien logiciel. Pour un utilisateur ordinaire, la démarche reste la mise à jour officielle et le contrôle du paiement.
Exploiter son propre serveur est un choix d’infrastructure avec des responsabilités spécifiques, pas une procédure d’urgence à improviser pendant un transfert. Une connexion qui semble fonctionner ne garantit pas, à elle seule, l’honnêteté du service distant.
Le commit du correctif ajoute la vérification des signatures des entrées appartenant au portefeuille dans les transactions non confirmées. Il ne transforme pas Electrum en nœud complet validant toutes les transactions entrantes : son périmètre reste précis.
La mise à jour n’annule pas un paiement déjà autorisé et ne garantit pas la récupération de bitcoins envoyés à un tiers. En cas de paiement suspect, conserver l’identifiant de transaction et les informations non secrètes, suspendre les signatures supplémentaires et établir d’abord l’état réel de l’opération. Se méfier des services promettant une récupération certaine contre une avance.
Electrum 4.8.3 corrige le défaut documenté, mais vérifier le logiciel et vérifier le paiement restent deux tâches différentes. Aucun test d’exploitation, d’installation ou de récupération n’a été réalisé pour cet article. Ces indications reposent sur les sources officielles et ne certifient pas la sécurité d’un appareil particulier.